B
今週中
Windows向けに設計された新しいバックドア「SLEEPWALKER」
📌 一言でいうと
Windows向けに設計された新しいバックドア「SLEEPWALKER」が発見されました。このマルウェアはESET Management AgentのDLLサイドローディングを利用して動作し、特定のネットワークパケットを受信するまでメモリ内で待機します。独自の23命令バイトコードを用いてコマンドを実行するため、従来の検知ツールや解析手法では発見が困難な設計となっています。
🔍該当判定
- Windows OSを搭載したPCやサーバーを利用している
- ESET社の管理ツール（ESET Management Agent / ERAgent.exe）を導入している
- 社内PCに「dpapi.dll」という名前の不審なファイルが配置されていないか確認する必要がある
上記いずれにも該当しない → 静観でOK
✅該当時の対応
不審なDLL（特にdpapi.dllを装った署名のないファイル）がERAgent.exeと同じディレクトリに存在しないか確認し、エンドポイント検知および応答 (EDR) ツールで異常なメモリ動作を監視してください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】SLEEPWALKER バックドアの検出について
お疲れさまです。新種のバックドア「SLEEPWALKER」に関する情報共有です。
■ 概要
ESET Management Agent (ERAgent.exe) のDLLサイドローディングを悪用する高度なバックドアです。特定のパケットを受信するまで待機し、独自のバイトコードで動作するため、アウトバウンド通信が発生せず、検知が非常に困難な特性を持っています。
■ 影響範囲
- ESET Management Agent を導入している Windows マシン
■ 対応手順
1. ERAgent.exe の実行ディレクトリに、署名のない不審な dpapi.dll が配置されていないか確認してください。
2. メモリ内での異常な動作や、不審なインバウンドパケットの流入がないかEDR/IDSで監視を強化してください。
■ 参考情報
- 独立系リサーチャーによる解析レポート
対応優先度: 中
対応期限: 随時
お疲れさまです。新種のバックドア「SLEEPWALKER」に関する情報共有です。
■ 概要
ESET Management Agent (ERAgent.exe) のDLLサイドローディングを悪用する高度なバックドアです。特定のパケットを受信するまで待機し、独自のバイトコードで動作するため、アウトバウンド通信が発生せず、検知が非常に困難な特性を持っています。
■ 影響範囲
- ESET Management Agent を導入している Windows マシン
■ 対応手順
1. ERAgent.exe の実行ディレクトリに、署名のない不審な dpapi.dll が配置されていないか確認してください。
2. メモリ内での異常な動作や、不審なインバウンドパケットの流入がないかEDR/IDSで監視を強化してください。
■ 参考情報
- 独立系リサーチャーによる解析レポート
対応優先度: 中
対応期限: 随時
Subject: [Intel] Detection of SLEEPWALKER Backdoor
Dear Team,
We are sharing information regarding a new backdoor named "SLEEPWALKER."
■ Overview
This is a sophisticated backdoor that leverages DLL side-loading into the ESET Management Agent (ERAgent.exe). It remains dormant in memory until a specific trigger packet is received and executes commands via a custom 23-instruction bytecode, making it highly evasive as it avoids outbound connections.
■ Scope
- Windows systems running ESET Management Agent
■ Action Items
1. Inspect the ERAgent.exe directory for any unsigned or suspicious dpapi.dll files.
2. Enhance monitoring via EDR/IDS for anomalous memory behavior or unexpected inbound trigger packets.
■ Reference
- Independent researcher analysis report
Priority: Medium
Deadline: Ongoing
Dear Team,
We are sharing information regarding a new backdoor named "SLEEPWALKER."
■ Overview
This is a sophisticated backdoor that leverages DLL side-loading into the ESET Management Agent (ERAgent.exe). It remains dormant in memory until a specific trigger packet is received and executes commands via a custom 23-instruction bytecode, making it highly evasive as it avoids outbound connections.
■ Scope
- Windows systems running ESET Management Agent
■ Action Items
1. Inspect the ERAgent.exe directory for any unsigned or suspicious dpapi.dll files.
2. Enhance monitoring via EDR/IDS for anomalous memory behavior or unexpected inbound trigger packets.
■ Reference
- Independent researcher analysis report
Priority: Medium
Deadline: Ongoing